IP协议就像白痴做出来的，丝毫不考虑安全

也是，原来是美国国防部内部网络用的，都是自己人，就几十个点，不用考虑搞事。
可是发展了这么多年了，还缝缝补补又三年，真是先天不足。

我给讲讲最近遇上的安全问题，有些勉强解决，有些绕不过去

IP协议写个来源IP，写个目标IP
然后底下写个现在的节点，下一个可达的节点位置，一跳跳传给最终的目标
这是理想情况，就是没人搞事的情况。

要搞事，只需要找足够的主机狂轰目标IP就可以了，而网路上所有的服务器都义务给转发

然后自己的真实IP还可以篡改伪装，就是明明在中国发出的数据我就说是从美国发出的，怎么着？
（这个电信运营商自己是否给检查，有问题自己先给枪毙了？）

这种流量攻击非常难防

我现在采用了最终极的多出口网关模式，即把业务封在内网中，内网对外有多个公网IP，这样即使一个被打爆了，还可以补充，这也是阿里抗D的手法，阿里为此还写了个
fullNAT结构。

也就是大家被逼的都不敢只用一个公网IP了，而且在网关上还得用反代。

那么问题来了，业务主机不知道客户的真实IP，以为只是反代在找它。
所以在IP协议上这个就完全解决不了，目前的手段是利用http协议，在http的报头里做注释，然后让http主机去识别。

可是这样就造成了另外的问题，一则只能在http协议管用，二则http协议反代毕竟要求反代程序读里面的真实内容，影响效率。
TMD IP协议里面就没有一个位置，可以做一下注释的。
IP协议还傻白甜的以为只要按照一个发信人一个收信人写就够，完全没有考虑到中间这些匪患，以及为了对抗匪患所普遍采用的迂回战术。

ipv6解决了这些问题吗

【 在 minquan (三民主义) 的大作中提到: 】
: 也是，原来是美国国防部内部网络用的，都是自己人，就几十个点，不用考虑搞事。: 可是发展了这么多年了，还缝缝补补又三年，真是先天不足。
: 我给讲讲最近遇上的安全问题，有些勉强解决，有些绕不过去
: IP协议写个来源IP，写个目标IP
: 然后底下写个现在的节点，下一个可达的节点位置，一跳跳传给最终的目标
: 这是理想情况，就是没人搞事的情况。
: 要搞事，只需要找足够的主机狂轰目标IP就可以了，而网路上所有的服务器都义务给转发
: 然后自己的真实IP还可以篡改伪装，就是明明在中国发出的数据我就说是从美国发出的
: ，怎么着？
: （这个电信运营商自己是否给检查，有问题自己先给枪毙了？）
: ...................

IP本來只是用來轉發數據包的，爲啥要考慮你這些東西啊?

【 在 minquan (三民主义) 的大作中提到: 】
: 也是，原来是美国国防部内部网络用的，都是自己人，就几十个点，不用考虑搞事。: 可是发展了这么多年了，还缝缝补补又三年，真是先天不足。
: 我给讲讲最近遇上的安全问题，有些勉强解决，有些绕不过去
: IP协议写个来源IP，写个目标IP
: 然后底下写个现在的节点，下一个可达的节点位置，一跳跳传给最终的目标
: 这是理想情况，就是没人搞事的情况。
: 要搞事，只需要找足够的主机狂轰目标IP就可以了，而网路上所有的服务器都义务给转发
: 然后自己的真实IP还可以篡改伪装，就是明明在中国发出的数据我就说是从美国发出的
: ，怎么着？
: （这个电信运营商自己是否给检查，有问题自己先给枪毙了？）
: ...................

“本來只是”
问题在于世界并不是最初设计者想象的童话世界啊
不考虑安全问题，就是拱手让坏人得逞吗？

【 在 netghost (Up to Isomorphism) 的大作中提到: 】
: IP本來只是用來轉發數據包的，爲啥要考慮你這些東西啊?
: 转发

好像只解决了ip数量不够用的问题

【 在 sayid (全家果粉准备全家当海军) 的大作中提到: 】
: ipv6解决了这些问题吗
: 转发

网络协议栈的原则就是有所为，有所不为
你说的这些安全特性，可以有别的协议层像SSL
或者其它手段像连接追踪，IP spoofing 检查等来实现

谁也不是圣人，一开始就预想到了几十年后的事情

【 在 minquan (三民主义) 的大作中提到: 】
: 好像只解决了ip数量不够用的问题

楼主牛逼就自己设计一个出来呗

IP很冤啊，丫设计就是电子usps尽力而为的在一个你不可能有上帝视角的网络里帮你送信罢了。要可靠性，要加密，要安全，得去上层找或者造协议。

【 在 minquan (三民主义) 的大作中提到: 】
: 也是，原来是美国国防部内部网络用的，都是自己人，就几十个点，不用考虑搞事。: 可是发展了这么多年了，还缝缝补补又三年，真是先天不足。
: 我给讲讲最近遇上的安全问题，有些勉强解决，有些绕不过去
: IP协议写个来源IP，写个目标IP
: 然后底下写个现在的节点，下一个可达的节点位置，一跳跳传给最终的目标
: 这是理想情况，就是没人搞事的情况。
: 要搞事，只需要找足够的主机狂轰目标IP就可以了，而网路上所有的服务器都义务给转发
: 然后自己的真实IP还可以篡改伪装，就是明明在中国发出的数据我就说是从美国发出的
: ，怎么着？
: （这个电信运营商自己是否给检查，有问题自己先给枪毙了？）
: ...................

lol 没听说过OSI model? 秀智商？

No，IP EXACTLY是想象到了世界不是通話世界設計出來的東西。

IP是一個非常非常牛逼的設計，牛逼不在於技術而在於眼光，
不在於有什麼功能，而在於沒有什麼功能。

【 在 minquan (三民主义) 的大作中提到: 】
: “本來只是”
: 问题在于世界并不是最初设计者想象的童话世界啊
: 不考虑安全问题，就是拱手让坏人得逞吗？

re. IP是奠基协议。

【 在 netghost (Up to Isomorphism) 的大作中提到: 】
: No，IP EXACTLY是想象到了世界不是通話世界設計出來的東西。
: IP是一個非常非常牛逼的設計，牛逼不在於技術而在於眼光，
: 不在於有什麼功能，而在於沒有什麼功能。

哥们你跨专业乱喷啊, 哈哈哈
安全啊, 认证啊, 是一般是由IP上面的协议实现的

而且你后面说到另外一个topic了，好像你是在抱怨 DoS, DDoS.
不该是 IP 的锅, DDoS 理论上没有完美解决方案.
DDoS 即使不发生在 IP 层, 也可以发生在另外的协议层.

你也说了人家本来是想做什么的。不是为你的要求准备的。不喜欢别用啊。

【 在 minquan (三民主义) 的大作中提到: 】
: 也是，原来是美国国防部内部网络用的，都是自己人，就几十个点，不用考虑搞事。: 可是发展了这么多年了，还缝缝补补又三年，真是先天不足。
: 我给讲讲最近遇上的安全问题，有些勉强解决，有些绕不过去
: IP协议写个来源IP，写个目标IP
: 然后底下写个现在的节点，下一个可达的节点位置，一跳跳传给最终的目标
: 这是理想情况，就是没人搞事的情况。
: 要搞事，只需要找足够的主机狂轰目标IP就可以了，而网路上所有的服务器都义务给转发
: 然后自己的真实IP还可以篡改伪装，就是明明在中国发出的数据我就说是从美国发出的
: ，怎么着？
: （这个电信运营商自己是否给检查，有问题自己先给枪毙了？）
: ...................

我觉得至少在TCP层得解决

如果传输层不解决，5G迟早得用新协议替代现在这种在底层根本不考虑安全性的协议

【 在 stid (stid.smth) 的大作中提到: 】
: 网络协议栈的原则就是有所为，有所不为
: 你说的这些安全特性，可以有别的协议层像SSL
: 或者其它手段像连接追踪，IP spoofing 检查等来实现
: 谁也不是圣人，一开始就预想到了几十年后的事情

complain一下都不行？

你的思维太老中，要求绝对服从

【 在 m20170327 (青橄榄) 的大作中提到: 】
: 你也说了人家本来是想做什么的。不是为你的要求准备的。不喜欢别用啊。
: 转发

IP 层也是有安全机制的：IPsec/ESP/AH， 只不过它们是后来添加的。

但是不像IP， IPsec没有得到普及应用。原因是多方面的。

【 在 minquan (三民主义) 的大作中提到: 】
: 也是，原来是美国国防部内部网络用的，都是自己人，就几十个点，不用考虑搞事。: 可是发展了这么多年了，还缝缝补补又三年，真是先天不足。
: 我给讲讲最近遇上的安全问题，有些勉强解决，有些绕不过去
: IP协议写个来源IP，写个目标IP
: 然后底下写个现在的节点，下一个可达的节点位置，一跳跳传给最终的目标
: 这是理想情况，就是没人搞事的情况。
: 要搞事，只需要找足够的主机狂轰目标IP就可以了，而网路上所有的服务器都义务给转发
: 然后自己的真实IP还可以篡改伪装，就是明明在中国发出的数据我就说是从美国发出的
: ，怎么着？
: （这个电信运营商自己是否给检查，有问题自己先给枪毙了？）
: ...................

本帖唯一的有建设性的回复

你是高手

【 在 WhereIsMyGCU (LifeIsTough) 的大作中提到: 】
: IP 层也是有安全机制的：IPsec/ESP/AH， 只不过它们是后来添加的。
: 但是不像IP， IPsec没有得到普及应用。原因是多方面的。
: 转发

IPSec没普及的原因，就是当初IP层没加入安全设计的原因。
事实证明原设计的方针伟光正。

【 在 minquan(三民主义) 的大作中提到: 】

: 本帖唯一的有建设性的回复

: 你是高手

什么原因？副作用很大吗？

【 在 majia0100 (majia011118) 的大作中提到: 】
: IPSec没普及的原因，就是当初IP层没加入安全设计的原因。
: 事实证明原设计的方针伟光正。
: : 本帖唯一的有建设性的回复
: : 你是高手
:

你可以理解就是加密的信息放在tcp/udp外边，ssh是包在里面的。 这个额外的header
会和太多已有的东西不兼容了。

【 在 fantasist (一) 的大作中提到: 】
: 什么原因？副作用很大吗？

Exactly

【 在 netghost (Up to Isomorphism) 的大作中提到: 】
: No，IP EXACTLY是想象到了世界不是通話世界設計出來的東西。
: IP是一個非常非常牛逼的設計，牛逼不在於技術而在於眼光，
: 不在於有什麼功能，而在於沒有什麼功能。

IP层是点到点。而点到点的机密意义不大，加密是端到端。
试问，ATT告诉你，他们在IP层全网实现加密。你能相信他们吗？能确保黑客不会在你
和ATT之间捣鬼吗？我肯定还是要走SSL的。而双层加密没什么意义。
安全必须控制在自己手里，指望底层提供安全服务没有什么意义。就好像指望Facebook不会泄露你的个人资料一样。

甚至目前基于浏览器的内置SSL也并不安全，除非假定浏览器的开发者百分百无恶意。
最安全是自己手动用PGP加密，让对端手动解锁。
当然啦，没有“最安全”一说。总会有漏洞。

IPSec是试图硬塞给IP层端到端加密，昂贵且累赘。

【 在 fantasist (一) 的大作中提到: 】
: 什么原因？副作用很大吗？

有道理

【 在 majia0100 (majia011118) 的大作中提到: 】
: IP层是点到点。而点到点的机密意义不大，加密是端到端。
: 试问，ATT告诉你，他们在IP层全网实现加密。你能相信他们吗？能确保黑客不会在你
: 和ATT之间捣鬼吗？我肯定还是要走SSL的。而双层加密没什么意义。
: 安全必须控制在自己手里，指望底层提供安全服务没有什么意义。就好像指望
Facebook
: 不会泄露你的个人资料一样。
: 甚至目前基于浏览器的内置SSL也并不安全，除非假定浏览器的开发者百分百无恶意。
: 最安全是自己手动用PGP加密，让对端手动解锁。
: 当然啦，没有“最安全”一说。总会有漏洞。
: IPSec是试图硬塞给IP层端到端加密，昂贵且累赘。